Moltbook Datenleck legt 1,5 Millionen API-Keys offen
Das Moltbook Datenleck, das Wiz am 2. Februar 2026 meldete, legte 1,5 Millionen API-Authentifizierungstokens, 35.000 E-Mail-Adressen und private Nachrichten des sozialen Netzwerks für KI-Agenten offen. Eine Supabase-Datenbank ohne Zugriffsrichtlinien gab jedem vollen Lese- und Schreibzugriff, Moltbook behob es binnen Stunden. Für Unternehmen, die Apps mit KI-Coding-Tools bauen, zeigt der Fall, wie ein übersehener Standard jedes Konto einer Plattform öffnen kann.
Was Wiz in der Moltbook-Datenbank fand
Das Cybersicherheitsunternehmen Wiz fand hinter Moltbook, einem sozialen Netzwerk für KI-Agenten, eine falsch konfigurierte Supabase-Datenbank, die jedem vollen Lese- und Schreibzugriff auf alle Plattformdaten gab. Wiz meldete es am 2. Februar 2026.
Offen lagen 1,5 Millionen API-Authentifizierungstokens, 35.000 E-Mail-Adressen und private Nachrichten zwischen Agenten. Wiz sagt, es habe das Problem sofort gemeldet, Moltbook habe es mit Wiz' Hilfe binnen Stunden gesichert, und alle bei der Untersuchung abgerufenen Daten seien gelöscht worden. SiliconANGLE berichtete, es gebe keine Hinweise, dass die Daten vor der Behebung ausgenutzt wurden.
Warum eine per Vibe Coding gebaute App eine offene Datenbank hatte
Moltbook ist eine Seite im Reddit-Stil, auf der KI-Agenten posten, kommentieren, abstimmen und Karma sammeln. Der Gründer sagte öffentlich auf X, er habe keine einzige Zeile Code dafür geschrieben, die KI habe es nach seiner Vorstellung der Architektur gebaut, eine Praxis, die als Vibe Coding bekannt ist.
Die Plattform nutzte Supabase, einen quelloffenen gehosteten PostgreSQL-Dienst, der bei per Vibe Coding gebauten Apps beliebt ist, weil er sich leicht einrichten lässt. Supabase ist so gebaut, dass ein öffentlicher API-Schlüssel im Browser liegt. Dieser Schlüssel ist nur sicher, wenn Row-Level-Security-Richtlinien (RLS) begrenzen, was er erreichen kann. Moltbook hatte keine solchen Richtlinien.
Wie die Offenlegung funktionierte
Wiz führte eine nicht-invasive Prüfung durch, indem es die Seite wie ein normaler Nutzer durchsuchte. Innerhalb von Minuten fand es den Supabase-API-Schlüssel im clientseitigen JavaScript der Seite. Eine direkte Abfrage, die nichts hätte zurückgeben dürfen, lieferte die API-Schlüssel der Agenten, als wäre Wiz ein Administrator.
Mit Fehlermeldungen und GraphQL-Introspektion kartierte Wiz das gesamte Schema und fand etwa 4,75 Millionen offene Datensätze. Jeder Agentendatensatz enthielt einen vollständigen API-Schlüssel, ein Claim-Token und einen Verifizierungscode, genug, um mit einem einzigen API-Aufruf jedes Konto zu übernehmen.
Was das Moltbook Datenleck offenlegte
Die Daten umfassten mehr als Zugangsdaten. Die Tabelle der Eigentümer enthielt persönliche Angaben von mehr als 17.000 Nutzern, und eine weitere Tabelle hielt 29.631 weitere E-Mail-Adressen aus frühen Anmeldungen für ein kommendes Entwicklerprodukt.
Die Tabelle agent_messages speicherte 4.060 private Unterhaltungen zwischen Agenten ohne Verschlüsselung oder Zugriffskontrolle. Einige enthielten Zugangsdaten Dritter, darunter OpenAI-API-Schlüssel im Klartext. Auch nach der ersten Korrektur blieb der Schreibzugriff auf öffentliche Tabellen offen, und Wiz konnte Live-Beiträge bearbeiten. Jeder hätte also Inhalte oder Prompt-Injection-Payloads platzieren können, die Agenten lesen.
Was die Daten über die Plattform selbst zeigten
Die Datenbank widersprach auch dem öffentlichen Bild der Plattform. Moltbook sagte, es habe 1,5 Millionen registrierte Agenten, die Datenbank zeigte aber nur 17.000 menschliche Eigentümer dahinter, ein Verhältnis von 88:1.
Jeder konnte Agenten per einfacher Schleife in Massen registrieren, da es keine Ratenbegrenzung gab, und eine Person konnte mit einer einfachen Webanfrage als „Agent" posten. Wiz schloss, das Netzwerk bestehe weitgehend aus Menschen, die Bot-Flotten betreiben.
Was sich für Unternehmen ändert, die mit KI-Coding-Tools bauen
Für ein Unternehmen lautet die Lehre: KI-generierter Code kann ein funktionierendes Produkt mit einem unsicheren Standard ausliefern. Der Fehler war eine einfache Fehlkonfiguration, kein raffinierter Angriff, und er erreichte jedes Konto der Plattform.
Das Risiko breitet sich auch aus: Agenten legten Schlüssel für externe Dienste in ihren Nachrichten ab, eine offene Datenbank konnte also angebundene Systeme gefährden. Unternehmen, die Teams Apps mit KI-Assistenten bauen lassen, brauchen vor dem Start Prüfungen von Datenbank-Zugriffsregeln, Geheimnissen im Frontend-Code und Schreibrechten.
„Die Chance liegt nicht darin, Vibe Coding zu bremsen, sondern es auf ein höheres Niveau zu heben." Gal Nagli, Leiter Threat Exposure bei Wiz
Nagli sagte, KI-Assistenten, die Supabase-Backends erzeugen, könnten RLS standardmäßig aktivieren, und Deployment-Plattformen könnten nach offenen Zugangsdaten scannen.
Fragen und Antworten
Wie viele API-Keys hat Moltbook offengelegt?
Wiz fand 1,5 Millionen API-Authentifizierungstokens sowie 35.000 E-Mail-Adressen und private Nachrichten zwischen Agenten.
Was verursachte die Offenlegung der Moltbook-Datenbank?
Ein öffentlicher Supabase-API-Schlüssel im JavaScript der Seite führte zu einer Datenbank ohne Row-Level-Security-Richtlinien, der Schlüssel gab also vollen Lese- und Schreibzugriff.
Wurden die offenen Daten missbraucht?
Moltbook sicherte die Datenbank binnen Stunden nach dem Bericht von Wiz. SiliconANGLE berichtete, es gebe keine Hinweise, dass die Daten bis dahin ausgenutzt wurden.
Die Sicht von MOZGII
Wie wir es bauen würden
Hier fehlte ein Standard, es gab keinen cleveren Angriff. Eine mit KI-Hilfe schnell gebaute App ging mit einer Datenbank live, die jeder lesen und beschreiben konnte, und die Agenten darauf legten Schlüssel anderer Dienste in ihren Nachrichten ab.
Wenn wir eine Agentenplattform bauen würden, starteten wir vor jeder Funktion mit den Datenregeln. Jede Tabelle hätte vom ersten Tag an Zugriffsrichtlinien, mit einem Test, der als anonymer Nutzer lesen und schreiben versucht und den Release stoppt, wenn das gelingt. Geheimnisse lägen nie im Frontend-Code oder im Nachrichtentext: Ein Scanner würde ein Deployment blockieren, das einen Schlüssel ausliefert, und die Plattform würde in Unterhaltungen eingefügte Schlüssel erkennen und maskieren.
Agenten bekämen Tokens mit begrenztem Umfang, die ablaufen und einzeln widerrufbar sind, sodass ein Leck bedeutet, einige Schlüssel zu tauschen, nicht alle. Schreibzugriff auf alles, was Agenten lesen, würde protokolliert und begrenzt, denn bearbeitete Inhalte werden zu Anweisungen für jeden Agenten, der sie liest.
Ein Coding-Assistent kann all das schreiben, aber ein Mensch würde die Zugriffsregeln und die Release-Prüfungen durchsehen, denn diese Teile überspringt ein schneller Bau. Scheitern würde es dort, wo Tempo über Prüfung siegt. Die eine Kennzahl, die wir beobachten würden, ist die Zahl der Tabellen, die ohne Authentifizierung erreichbar sind, und sie sollte null sein. Als Nächstes würden wir Ratenlimits bauen und eine einfache Prüfung, dass ein Konto das ist, was es vorgibt.
Quellen
Woher die Fakten dieser Meldung stammen.
- 01Hacking Moltbook: AI Social Network Reveals 1.5M API Keys | Wiz Blogwiz.io
- 02AI agent social network Moltbook left millions of credentials publicly exposed - SiliconANGLEsiliconangle.com
- 03AI agent social media network Moltbook is a security disaster - millions of credentials and other details left unsecured | TechRadarTech RadarTech Radar ProTech Radar GamingTech Radar Protechradar.com